Artigo 28.o 5.

As entidades financeiras a que se refere o n.o 1 devem assegurar que o seu quadro simplificado de gestão do risco associado às TIC seja objeto de uma auditoria interna por parte de auditores, em conformidade com o plano de auditoria das entidades financeiras. Os auditores devem possuir conhecimentos, competências e especialização suficientes em matéria de risco associado às TIC e ser independentes. A frequência e a ênfase das auditorias às TIC devem ser proporcionadas ao risco associado às TIC da entidade financeira.